SD-WAN Fundamentals: Underlay, Overlay และ Application-Aware Routing

SD-WAN (Software-Defined Wide Area Network) คือแนวทางบริหาร WAN ที่แยกการกำหนดนโยบายและการควบคุมออกจากการส่งต่อแพ็กเก็ต ช่วยให้องค์กรใช้ MPLS, Dedicated Internet Access (DIA) และ Broadband ร่วมกัน พร้อมเลือกเส้นทางตามคุณภาพและความต้องการของแอปพลิเคชัน บทความนี้อธิบายแนวคิดและ Cisco Catalyst SD-WAN โดยไม่ยึดติดกับเวอร์ชันคำสั่งเฉพาะ

1. SD-WAN คืออะไร และต่างจาก WAN เดิมอย่างไร?

WAN แบบเดิมมักใช้ Static Route, Dynamic Routing และการกำหนด QoS แยกตาม Router ส่วน SD-WAN เพิ่มการบริหารนโยบายจากศูนย์กลาง การสร้าง Secure Overlay และการติดตามคุณภาพแต่ละ Transport เพื่อใช้ประกอบการตัดสินใจส่ง Traffic อย่างต่อเนื่อง

SD-WAN ไม่ได้เพิ่ม Bandwidth ทางกายภาพ ไม่ได้รับประกันว่าทุก Application จะเร็วขึ้น และไม่ได้แทน Firewall หรือการออกแบบ Routing ที่ถูกต้อง ความสามารถจริงขึ้นอยู่กับผลิตภัณฑ์ License, Software Release และ Topology

ประเด็น	Traditional WAN	SD-WAN
Policy	กำหนดรายอุปกรณ์เป็นหลัก	จัดการแบบรวมศูนย์ได้
Transport	MPLS/Internet ตามการออกแบบ	รวมหลาย Transport ภายใต้ Overlay
Path Selection	Route/Metric/Tracking	Route ร่วมกับ SLA และ Application Policy
Visibility	SNMP, Syslog, NetFlow	มี Telemetry และ Analytics ตามแพลตฟอร์ม

2. Underlay, Overlay, Control Plane และ Data Plane

Underlay Network

Underlay คือเครือข่ายขนส่งจริง เช่น MPLS, DIA, Fiber Broadband หรือ Cellular ที่ต้องมี IP Reachability ไปยังปลายทางและระบบ Control ที่จำเป็นก่อนสร้าง Overlay

Overlay Network

Overlay คือเครือข่ายเสมือนที่สร้าง Secure Tunnel ระหว่าง WAN Edge ผ่าน Underlay หลายชนิด โดยทั่วไป Cisco Catalyst SD-WAN ใช้ IPsec สำหรับการปกป้อง Data Plane

Control Plane และ Data Plane

Control Plane แลกเปลี่ยนข้อมูลเส้นทางและนโยบาย ส่วน Data Plane ส่งต่อแพ็กเก็ตจริง การแยกสองส่วนช่วยบริหารเครือข่ายได้ แต่หาก Underlay ล่ม Overlay ที่พึ่งพาเส้นทางนั้นก็ใช้งานไม่ได้

           Centralized Management / Control
                        |
         +--------------+--------------+
         |                             |
      WAN Edge HQ                  WAN Edge Branch
         |  \                         /  |
         |   \----- Secure Overlay --/   |
       MPLS                             Internet
         \________ Physical Underlay ____/

3. องค์ประกอบ Cisco Catalyst SD-WAN

ชื่อปัจจุบันในเอกสาร Cisco Catalyst SD-WAN มักพบ SD-WAN Manager (เดิม vManage), SD-WAN Controller (เดิม vSmart) และ SD-WAN Validator (เดิม vBond) โดยชื่อและการติดตั้งอาจแตกต่างตาม Release

ส่วนประกอบ	หน้าที่หลัก
SD-WAN Manager	จัดการ Configuration, Policy, Monitoring และ Lifecycle
SD-WAN Controller	Control Plane, OMP และการกระจาย Policy
SD-WAN Validator	ช่วยกระบวนการเริ่มต้นเชื่อมต่อและค้นหา Control Components
WAN Edge	สร้าง Tunnel, รับส่ง Traffic และบังคับใช้นโยบาย

OMP (Overlay Management Protocol) ใช้แลกเปลี่ยนข้อมูล Route, TLOC และ Service Information ใน Overlay ส่วน TLOC (Transport Location) ใช้ระบุจุดเชื่อมต่อ Transport ของ WAN Edge ตามโมเดลของแพลตฟอร์ม

ควรแยกให้ชัดว่า Management, Control และ Data Plane มีหน้าที่ต่างกัน การขาดการเชื่อมต่อกับ Controller ไม่ได้หมายความว่า Existing Data Tunnel จะหยุดส่ง Traffic ทันทีทุกกรณี พฤติกรรมขึ้นกับ State, Timer และ Policy

4. Application-Aware Routing และ SLA

Application-Aware Routing ใช้ตัวชี้วัด เช่น Latency, Jitter และ Packet Loss ของเส้นทางเพื่อประเมินว่า Transport ใดเหมาะกับ Traffic Class ที่กำหนด แต่การเลือกเส้นทางขึ้นกับ Policy, Measurement และเส้นทางที่พร้อมใช้งาน ไม่ใช่เพียงเลือกค่าต่ำสุดเสมอไป

Traffic	ตัวชี้วัดสำคัญ	แนวทาง
Voice	Loss, Latency, Jitter	เลือกเส้นทางที่ผ่าน SLA ของ Voice
Video Conference	Loss, Jitter, Capacity	กำหนด SLA และ QoS ให้เหมาะสม
ERP	Availability, Latency	เลือก Transport ตาม Business Priority
Backup	Throughput, Cost	ใช้เส้นทางที่ไม่รบกวน Critical Traffic

ตัวอย่างสมมติ: MPLS มี Latency 25 ms, Jitter 3 ms, Loss 0.1%; Internet มี Latency 40 ms, Jitter 15 ms, Loss 1.5% หาก Voice SLA กำหนด Jitter ไม่เกิน 10 ms ระบบอาจเลือก MPLS ขณะนั้น แต่ต้องตรวจว่าทั้งสองเส้นทางรองรับ Policy และ Tunnel จริง

ค่า SLA เป็น ตัวอย่างเพื่อการศึกษา ไม่ใช่เกณฑ์มาตรฐานสากลสำหรับทุก Codec หรือ Application และไม่ควรใช้เป็น Production Threshold โดยไม่วัด Traffic จริง

5. Security, Segmentation และ Direct Internet Access

SD-WAN มักเข้ารหัส Traffic ระหว่าง WAN Edges แต่ Encryption ไม่ได้แทน Access Control การแบ่ง Segment เช่น Corporate, Guest และ Operations ต้องกำหนด VPN/VRF, Route Leaking และ Firewall Policy ให้ถูกต้องตามแพลตฟอร์ม

Branch WAN Edge
  |-- Corporate Segment --> HQ / Approved SaaS
  |-- Operations Segment --> Restricted Services
  |-- Guest Segment ------> Internet Only

Local Internet Breakout ช่วยลดการอ้อมเส้นทางผ่าน HQ แต่ควรตรวจ DNS Security, Secure Web Gateway, Firewall, Logging และ Endpoint Controls รวมถึงข้อกำหนด Data Residency

การสร้าง Secure Overlay ไม่ทำให้ MPLS หรือ Internet กลายเป็น Trusted Network โดยอัตโนมัติ ต้องป้องกัน Management Plane ด้วย Certificate, RBAC, MFA สำหรับผู้ดูแล และการอัปเดต Software

6. ตัวอย่างออกแบบ HQ และสองสาขา

                     SD-WAN Control Components
                               |
                  +------------+------------+
                  |                         |
                 HQ                        Cloud Apps
            WAN Edge (2x)
              /       \
           MPLS       DIA
            |          |
     +------+----------+------+
     |                        |
 Branch A                 Branch B
 MPLS + DIA               DIA + LTE
     |                        |
 Users / Voice            Users / POS

IP Address และ Segmentation Plan

Site	Corporate LAN	Operations LAN
HQ	10.10.10.0/24	10.10.20.0/24
Branch A	10.20.10.0/24	10.20.20.0/24
Branch B	10.30.10.0/24	10.30.20.0/24

ออกแบบ Site ID, System IP, Transport Colors, Organization Name, Certificates, Underlay IP และ NAT/Firewall Rules ให้ไม่ซ้ำและตรงกับ Controller Configuration โดย Transport Color ไม่ใช่การยืนยันชนิดวงจรหรือความปลอดภัยในตัวเอง

High Availability

Dual WAN Edge และ Dual ISP ช่วยลด Single Point of Failure แต่ต้องทดสอบ Power, LAN Gateway, Route Convergence, Controller Reachability และ Failback รวมถึงตรวจว่าทั้งสอง ISP ไม่ใช้ Physical Path เดียวกันโดยไม่ตั้งใจ

7. Lab: ทดสอบ SD-WAN Path Selection อย่างปลอดภัย

ใช้ Cisco SD-WAN Lab หรือ Emulator ที่มีสิทธิ์ใช้งานและรองรับ Release ที่เลือก ไม่ควรคัดลอก CLI จาก Router IOS แบบดั้งเดิมไปใช้โดยไม่ตรวจ Mode และ Template ของ SD-WAN

Step 1 — สร้าง Topology

เตรียม HQ Edge และ Branch Edge พร้อม Underlay สองเส้นทาง ได้แก่ MPLS จำลองและ Internet จำลอง ตรวจ IP Reachability, DNS, NTP และ Certificate Requirements ก่อน Onboarding

Step 2 — ตรวจ Control Connections

ยืนยันว่า WAN Edges เชื่อมต่อ Control Components และแลกเปลี่ยน OMP Routes ตามที่ออกแบบ จากนั้นตรวจว่ามี Secure Data Tunnel ระหว่าง Sites

Step 3 — สร้าง Traffic Classes

กำหนด Voice, Business และ Bulk ตาม DSCP หรือ Application Identification ที่รองรับ ตรวจ Trust Boundary ก่อนเชื่อค่า DSCP จาก Endpoint

Step 4 — กำหนด SLA Policy

กำหนด Threshold สำหรับ Voice และ Preferred Transport พร้อม Fallback Behavior ตาม GUI/Policy Model ของ Software Release ที่ใช้งาน บันทึก Policy Version ก่อน Activate

Step 5 — จำลอง Degradation

ใน Lab เท่านั้น ใช้ Network Emulator เพิ่ม Latency, Jitter หรือ Loss บน Transport หนึ่ง แล้วตรวจเส้นทางที่เลือกจริงด้วย Telemetry และ Packet Counters

Step 6 — ตรวจ Failover และ Rollback

ตัด Underlay จำลองทีละเส้น ตรวจ Session Continuity, Convergence และการกลับเส้นทางเมื่อคุณภาพฟื้นคืน จากนั้น Restore Policy เดิมและยืนยันผล

ห้ามทดลองตัดวงจรหรือ Inject Packet Loss บน Production โดยไม่มี Change Approval, Maintenance Window, Impact Assessment และ Rollback Plan

8. Verification และ Monitoring

บน Cisco Catalyst SD-WAN คำสั่งและ Dashboard อาจต่างกันตาม Release และ Operating Mode ตัวอย่างคำสั่งที่พบในหลายรุ่น ได้แก่:

show sdwan control connections
show sdwan omp peers
show sdwan omp routes
show sdwan bfd sessions
show sdwan tunnel statistics

บาง Platform หรือ Release อาจใช้รูปแบบคำสั่งอื่น จึงต้องตรวจ CLI Reference ของรุ่นจริง คำสั่งเหล่านี้ไม่ควรถูกถือว่าใช้ได้กับอุปกรณ์ Cisco ทุกตระกูล

รายการ	ตรวจอะไร
Control Connections	สถานะ Controller, Certificate, Reachability
OMP Peers/Routes	Overlay Route Advertisement และ Policy
BFD Sessions	Data Path Health และ Session State
Tunnel Statistics	Traffic, Loss, Drop และ Path Usage
Application Experience	Latency, Jitter, Loss และ SLA Compliance

เก็บ Baseline ก่อนเปลี่ยน Policy และเทียบผลก่อน/หลัง โดยระบุเวลา Site, Application, Transport และ Software Version ให้ครบ

9. SD-WAN Troubleshooting Workflow

Application Problem
        |
        v
Underlay IP Reachability?
        |
        v
DNS / NTP / Certificate Valid?
        |
        v
Control Connections Up?
        |
        v
OMP Routes Received?
        |
        v
BFD / Data Tunnels Up?
        |
        v
VPN / VRF / Segmentation Correct?
        |
        v
Policy / SLA Match?
        |
        v
Firewall / NAT / MTU / QoS?
        |
        v
End-to-End Application Test

Case 1 — Edge ไม่ขึ้น Control Connection

ตรวจ Underlay Gateway, DNS, NTP, Controller Address, Certificate Chain, Organization Name, System IP, Site ID และ Firewall Ports ตาม Deployment Guide ของ Release นั้น

Case 2 — Tunnel Up แต่ข้ามสาขาไม่ได้

ตรวจ OMP Route, VPN/VRF Mapping, Route Advertisement, Data Policy, LAN Routing, NAT และ Return Path อย่าตัดสินจาก Control Connection Status เพียงอย่างเดียว

Case 3 — Voice กระตุกทั้งที่ MPLS Up

ตรวจ BFD Loss/Latency/Jitter, SLA Policy, Application Classification, QoS Queue Drops, ISP Congestion และ Codec Bandwidth รวมถึงเส้นทาง Return Traffic

Case 4 — Failover ไม่เกิดตามคาด

ตรวจ SLA Threshold, Polling/Measurement Window, Preferred Path, Fallback Policy และสถานะ Transport ที่เหลือ พร้อมแยก Link Down ออกจาก Link Degraded

Case 5 — Direct Internet Access ใช้ไม่ได้

ตรวจ Local Default Route, NAT, Firewall, DNS, Security Service Chaining และ Policy ว่าอนุญาต Breakout ที่ Site นั้นจริงหรือไม่

10. Production Best Practices

Design ก่อน Deploy: ทำ Underlay/Overlay Diagram, IP Plan, VRF Matrix และ Traffic Flow Matrix
Baseline: วัด Peak Utilization, Latency, Jitter, Loss และ Application Performance ก่อนกำหนด SLA
Security: ใช้ Certificate Lifecycle Management, RBAC, MFA, Logging และ Least Privilege
High Availability: ตรวจ Physical Diversity และ Failover ทั้ง WAN, LAN และ Controller Dependency
Change Control: ใช้ Template Versioning, Staged Rollout และ Rollback ที่ทดสอบแล้ว
Observability: เชื่อม Telemetry กับ Incident Response และตรวจทั้ง Forward/Return Path

11. คำถามที่พบบ่อย (FAQ)

SD-WAN จำเป็นต้องใช้ MPLS หรือไม่?

ไม่จำเป็น สามารถออกแบบบน Internet, MPLS, Cellular หรือหลาย Transport ร่วมกันตามความสามารถของแพลตฟอร์มและ SLA

SD-WAN ทำให้ Internet เร็วขึ้นหรือไม่?

ไม่เพิ่ม Physical Bandwidth แต่ช่วยเลือกเส้นทางและบริหาร Traffic ให้เหมาะสมกับคุณภาพที่วัดได้

SD-WAN ต่างจาก VPN อย่างไร?

VPN เน้น Secure Connectivity ส่วน SD-WAN เพิ่ม Centralized Policy, Overlay Routing, Telemetry และ Application-Aware Path Selection โดยมักใช้ VPN Technology เป็นส่วนหนึ่งของ Data Plane

SD-WAN แทน Firewall ได้หรือไม่?

ไม่ใช่โดยอัตโนมัติ ต้องตรวจว่าผลิตภัณฑ์มี Security Functions ใดและกำหนด Firewall/Segmentation Policy ให้ครบ

Control Plane ล่มแล้ว Traffic จะหยุดทันทีหรือไม่?

ไม่จำเป็น Existing Data Paths อาจทำงานต่อได้ชั่วระยะหนึ่งตาม State และ Timer แต่การเปลี่ยนเส้นทางหรือการเรียนรู้ข้อมูลใหม่อาจได้รับผลกระทบ

ควรเริ่มเรียน Cisco SD-WAN จากเรื่องใด?

เริ่มจาก TCP/IP, Routing, BGP/OSPF, IPsec, NAT, QoS และ WAN Fundamentals ก่อนศึกษา OMP, TLOC, BFD, Policy และ Controller Architecture

12. บทสรุป

SD-WAN คือการรวม Secure Overlay, Centralized Policy และ Transport Visibility เพื่อบริหาร WAN ตามความต้องการของ Application แต่ผลลัพธ์ขึ้นกับ Underlay ที่เชื่อถือได้, Routing ที่ถูกต้อง, SLA ที่วัดจากข้อมูลจริง และ Security Controls ที่ครบถ้วน

Network Engineer ควรแยกปัญหาเป็น Underlay → Control Plane → Overlay/Data Plane → Routing/Segmentation → Application Policy เพื่อแก้ไขได้ตรงจุด

บทความถัดไป: Wireless Networking Fundamentals — Wi-Fi Standards, SSID, Channels, Roaming, Security และ Enterprise WLAN Design